Web 应用防火墙防护模块

功能介绍
可按需开启并配置以下防护模块。本页面所有防护模块均为全局策略，配置后将对当前域名下的全部场景生效。其中 BOT 白名单优先级最高，命中白名单的流量将跳过后续 BOT 检测规则。
本文档介绍各模块的功能原理和全局配置方法。各模块在场景中的具体操作步骤和案例分析，请参见 BOT 场景化实践教程。
说明：
防护模块功能均为全局配置，配置后对当前域名下的全部场景生效。其中前端对抗和智能分析支持在场景配置中单独关闭，如某个场景不适配，可在场景中不启用。具体配置方法请参见 简易模式 和 多场景模式。
前端对抗
功能介绍
注意：
前端对抗技术仅适用于 Web 或 HTML5 环境，移动端和小程序暂不支持。
在 CLB-WAF 实例添加的域名，暂时不支持开通前端对抗。
在 SaaS-WAF 实例添加的泛域名，暂时不支持开通前端对抗。
前端对抗优先于 CC 防护执行，被前端对抗拦截的请求（HTTP 403）不会再进入 CC 防护流程。因此，攻击日志中的 403 状态码可能来自前端对抗，而非 CC 防护。基于对抗功能设计，开启前端对抗功能开关后会在 Response 中插入 JS，可能导致 WAF 到源站带宽略有增加。
前端对抗通过对每个客户端生成唯一 ID 和动态 Token，检测 Web 或 HTML5 页面访问中的机器人和恶意爬虫行为。
兼容性说明：前端对抗适用于网页或 HTML5 业务防护。当 POST 请求的响应体 Content-Type 不为 text/html 且未包含 <html> 标签时，前端动态检测可能异常，此时可对请求路径或响应请求加白。
有感前端对抗：对客户端弹出验证码（滑块、拼图、字符比较等），区分人和 BOT 的访问行为，验证失败达到一定次数后拦截。适用于保护网站核心接口（如购物车、支付、短信接口等）。该能力已集成到 WAF 各模块的动作处理（监控、人机识别、重定向、拦截）中。
无感前端对抗：在用户无感知的情况下完成客户端行为检测，适合对用户体验要求较高的场景。检测到刷量或恶意爬虫行为后，可按需设置处置动作。
配置说明
前端对抗开关默认关闭，开启后 WAF 将对生效范围内的页面进行前端对抗安全防护，识别客户端请求中可能存在爬虫行为，并对识别为爬虫行为的请求采取相应处置动作。
在 BOT 管理 > BOT 规则配置 > BOT 管理页面，单击全局配置模块前端对抗的前往配置，可配置以下选项：
页面防调试：默认开启，开启后当用户打开浏览器开发者工具时，页面将阻止调试跟踪。建议在需要进行防护的敏感目录下开启此防护功能。
自动化工具识别：默认开启，开启后辅助进行动态威胁检测。
极简防护：前端对抗的轻量防护模式，开启后需设置防护路径范围（最多 20 个），仅对范围内的响应页面插入 JS。
注意：
极简防护模式下防护强度低于默认防护模式，建议谨慎启用。
白名单策略：支持添加白名单，字段说明如下：
字段名称
说明
类型
请求白名单：加白网站 URL 页面不需要进行动态安全检测。
响应白名单：默认 WAF 会根据业务情况对响应页面插入 JS，可指定页面不插入 JS，提高网站兼容性。
匹配条件
支持路径后缀匹配、前缀匹配、相等和包含，默认为：路径后缀匹配。
匹配内容
当匹配条件为路径后缀匹配，默认给出需要加白的文件后缀名称，包括：ico、gif、bmp、htc、jpg、jpeg、png、tiff、swf、js、css、rm、rmvb、wmv、avi、mkv、mp3、mp4、ogg、wma、zip、exe、rar、eot、woff、woff2、ttf、svg。您可以根据实际情况进行修改。 输入其他匹配条件，请按照实际情况输入白名单路径。
规则描述（选填）
输入规则描述信息。
规则开关
默认关闭，您可根据实际情况调整。
智能分析
智能分析模块包含威胁情报、AI 策略、智能统计和 UA 策略四个子模块，从多个维度识别 BOT 行为。智能分析默认开启（四个子模块均处于开启状态），命中流量将记录对应的动作策略 ID。
在 BOT 管理 > BOT 规则配置 > BOT 管理页面，单击全局配置模块智能分析的前往配置，可开启/关闭各子模块的分析开关。关闭后，该子模块不再分析对应策略，也不计入 BOT 得分评估。四个子模块的检出结果汇总为 BOT 分数，再由动作策略模式决定最终处置动作（支持切换宽松、中等、严格等预设模式或自定义模式，各模式的分数段、执行动作、标签均可修改）。具体配置请参见 动作策略。
威胁情报
威胁情报包含 IDC 网络和威胁情报库两类情报，7×24 小时持续更新。在威胁情报配置页面，可单独控制各识别项的开关，也可一键开启/关闭全部识别项。初次开启威胁情报开关时，所有识别项默认开启。
实践建议：威胁情报可识别恶意爬虫、分布式爬虫、代理、撞库、薅羊毛等风险访问，建议始终开启。
ToC 业务（用户请求主要从住宅 IP 或基站 IP 发起）：开启后，可通过自定义会话策略在人机识别中配置对代理/IDC 访问的检测规则，并将回调接口和业务 IDC 地址加入信任列表，避免误拦截。
ToB 业务（用户请求主要从 IDC 或企业出口发起）：开启后，将业务预期 IDC 的识别项关闭，其余配置同 ToC 业务。
AI 策略
AI 策略将风控特征和黑灰产对抗经验转化为评估模型，识别恶意访问者。若发现 AI 检测存在误报，可单击添加白名单加白特定 URL，减少误报。
说明：
此处 AI 策略白名单仅影响 AI 策略模块，不影响其他模块的正常检出。
实践建议：AI 策略可识别通用 BOT 和高级持续威胁 BOT，建议始终开启，并在白名单中加白业务回调接口。
字段名称
说明
策略名称
策略的名称。
规则描述
策略的描述。
加白 URL
AI 策略的加白路径，影响 AI 策略的得分结果。
规则开关
AI 策略白名单的开关，开启状态时，当前 AI 策略白名单生效，在 URL 命中 AI 策略白名单时，AI 策略将不增加其分数，其 BOT 评估分值由威胁情报、智能统计进行提供。
智能统计
智能统计根据域名用户群体的流量特征自动分类，区分正常用户和恶意用户。在智能统计页面中，可对会话平均速度、会话持续时间、URL 种类、UserAgent 种类、Cookie 种类、Referer 种类、会话总次数等特征分别配置检出等级和规则开关。检出等级越高，精度越高但检出率降低；等级越低，检出率越高但精度下降。关闭某检出项后，该项不再贡献 BOT 分数。
实践建议：智能统计可发现异常访问行为，建议始终开启，并将规则等级设置为智能推荐。
UA 策略
UA 策略识别不同 UA 的类型及特征，用于发现恶意终端。在 UA 策略配置页面，可单独控制各识别项开关，也可一键开启/关闭全部识别项。
实践建议：UA 策略可分类多种客户端类型，建议在需要区分终端来源、识别恶意自动化工具时开启，并根据业务访问特征配置 UA 类型观测规则。
会话管理
会话管理功能和 CC 防护 中的 Session 设置类似，通过配置不同的会话标识，区分同一 IP 下不同访问者的行为，分别统计各访问者的行为特征。借此可解决住宅 IP/公共出口 IP 下无法精准处置 BOT 的问题，以及代理 IP 快速变换时无法统计会话特征的问题。
会话管理包含会话标识配置和会话 ID 集合两个页签。
1. 在 BOT 管理 > BOT 规则配置 > BOT 管理页面，单击全局配置模块会话管理的前往配置。
2. 在会话管理页面，按需配置会话标识或管理会话 ID 集合。
会话标识配置
在会话标识配置页签中，单击添加配置，配置相关参数，单击确定。
说明：
会话标识应为可持续性记录 tokenid，例如登录后的 set-cookies 的值。
字段名称
说明
会话标识位置
指定识别特定位置（QUERY、BODY、COOKIE 或 HEADERS）的参数名作为会话标识，以该参数名对应的值作为会话 ID。
会话标识参数
取值标识，以 . 字符区隔各个层级的参数，示例如下：
test：识别 JSON 字符串中 test 参数的值为会话 ID。
test1.test2：识别 JSON 字符串中 test1 包含的 test2 参数的值为会话 ID。
高级设置
支持单击展开高级设置并配置，不特殊设置的情况下默认应用于全部场景，优先级为 1。
应用场景：支持选择全部场景或指定场景，对选中场景生效。
优先级：支持输入 1-100 的整数，数字越小优先级越高，优先匹配对应设置的会话标识。优先级相同时，更新时间越近越优先。
会话有效性验证：支持校验提取的会话 ID 值的有效性，提供以下校验方式：
JWS/JWE 校验：针对 JSON Web Token 方式加密后的内容配置解密，并验证其有效性。适用于 token 经 JWT 方式处理后传输的场景。
包含校验：配置目标子串，系统校验 token 中是否完整包含该子串（不限制位置）。适用于 token 中存在可标识有效性的关键片段的业务场景。
长度校验：配置目标长度，系统校验提取的 token 长度是否满足某个长度要求。适用于仅需简单验证 token 有效性的业务场景。
正则校验：配置符合 PCRE 规范的正则表达式，系统使用该表达式对 token 整体进行模式匹配验证。适用于 token 格式复杂且需自定义灵活验证规则的业务场景。
配置完成后即可自动生效，BOT 流量分析将开始根据会话标识所在字段进行流量分析。
会话 ID 集合
1. 在会话 ID 集合页签中，单击新建，配置相关参数后单击确定即可。字段说明如下：
集合名称：输入集合名称。
描述：输入描述信息。
会话 ID：输入会话 ID，一行一个，最大支持 1000 行。
2. 也支持单击导入数据批量导入会话 ID 集合。
格式：仅支持 .xlsx、.xls 格式，每次只支持单个文件上传。
数量：每次最多可导入 50 条，如需大量导入请分多次导入。
内容：必须包含会话 ID 集合名称列、会话 ID 列，描述列可不填；具体字段格式可参考导出数据 Excel 格式。
3. 单击上传/拖拽到此区域，上传 .xlsx 或 .xls 格式文件（大小 1.5MB 以内），也可单击下载导入模板获取标准模板。
合法爬虫
1. 在 BOT 管理 > BOT 规则配置 > BOT 管理页面，单击全局配置模块合法爬虫的前往配置。
2. 在合法爬虫页面，通过开关将来自对网站数据有益的 BOT 合理放行，使得网站在对搜索引擎、外部合作爬虫进行索引时不受影响。
人机识别设置
1. 在 BOT 管理 > BOT 规则配置 > BOT 管理页面，单击全局配置模块人机识别的前往设置。
2. 配置后，针对该域名下所有配置防护动作为人机识别、精准人机识别的规则生效，包含基础安全、BOT 管理模块规则。
配置项
说明
重试次数
范围 1-100。重试验证的次数，达到重试次数上限仍未验证成功则直接拦截。
放行时长
范围 1-10080 分钟。单次验证成功后支持放行该 IP（不唤起验证页面），支持指定放行时长。
拦截时长
范围 1-10080 分钟。达到重试次数上限后直接拦截该 IP，支持指定拦截时长。
高级配置
支持自定义 Header，用于 CDN 开启强制缓存策略时，通过添加特征 Header（如 X-WAF-Challenge）让 CDN 识别并跳过验证码页面缓存。最多可添加 10 条。
说明：
云原生型实例接入的域名不支持自定义 Header 配置；保留 Header（如 Host、Content-Length 等）不可使用。
BOT 白名单
BOT 白名单优先级高于所有场景配置，命中白名单的流量将跳过后续 BOT 检测规则。
1. 在 BOT 管理 > BOT 规则配置 > BOT 管理 > BOT 白名单页面，单击添加规则，配置相关参数，单击确定即可。
字段名称
说明
策略名称
策略名称字段。
策略描述
策略描述字段。
规则开关
策略开关状态，默认开启。
匹配条件
设置 BOT 策略的匹配条件，最多可以设置 10 个匹配条件，各个条件之间是"与"的关系。鼠标悬停具体的匹配条件时，可以查看相应的条件说明。
优先级
请输入 1~100 的整数，数字越小，代表这条规则的执行优先级越高；相同优先级下，创建时间越晚，优先级越高。
自定义标签
可设置为友好 BOT、正常流量。
说明：
友好 BOT 拥有最高优先级，命中后流量将直接放行，跳过所有后续 BOT 检测规则。
生效方式
永久生效：针对所有时间永久生效。
定时生效：按照每日的指定时间段生效。
周粒度生效：按照每周的特定日及时间段生效。
月粒度生效：按照每月的特定日期及时间段生效。
2. 完成添加后，可在策略列表中查看刚刚创建的规则，单击编辑或删除，可对该规则进行编辑或删除。

字段名称	说明
类型	请求白名单：加白网站 URL 页面不需要进行动态安全检测。响应白名单：默认 WAF 会根据业务情况对响应页面插入 JS，可指定页面不插入 JS，提高网站兼容性。
匹配条件	支持路径后缀匹配、前缀匹配、相等和包含，默认为：路径后缀匹配。
匹配内容	当匹配条件为路径后缀匹配，默认给出需要加白的文件后缀名称，包括：ico、gif、bmp、htc、jpg、jpeg、png、tiff、swf、js、css、rm、rmvb、wmv、avi、mkv、mp3、mp4、ogg、wma、zip、exe、rar、eot、woff、woff2、ttf、svg。您可以根据实际情况进行修改。输入其他匹配条件，请按照实际情况输入白名单路径。
规则描述（选填）	输入规则描述信息。
规则开关	默认关闭，您可根据实际情况调整。

字段名称	说明
策略名称	策略的名称。
规则描述	策略的描述。
加白 URL	AI 策略的加白路径，影响 AI 策略的得分结果。
规则开关	AI 策略白名单的开关，开启状态时，当前 AI 策略白名单生效，在 URL 命中 AI 策略白名单时，AI 策略将不增加其分数，其 BOT 评估分值由威胁情报、智能统计进行提供。

字段名称	说明
会话标识位置	指定识别特定位置（QUERY、BODY、COOKIE 或 HEADERS）的参数名作为会话标识，以该参数名对应的值作为会话 ID。
会话标识参数	取值标识，以 . 字符区隔各个层级的参数，示例如下： test：识别 JSON 字符串中 test 参数的值为会话 ID。 test1.test2：识别 JSON 字符串中 test1 包含的 test2 参数的值为会话 ID。
高级设置	支持单击展开高级设置并配置，不特殊设置的情况下默认应用于全部场景，优先级为 1。应用场景：支持选择全部场景或指定场景，对选中场景生效。优先级：支持输入 1-100 的整数，数字越小优先级越高，优先匹配对应设置的会话标识。优先级相同时，更新时间越近越优先。会话有效性验证：支持校验提取的会话 ID 值的有效性，提供以下校验方式： JWS/JWE 校验：针对 JSON Web Token 方式加密后的内容配置解密，并验证其有效性。适用于 token 经 JWT 方式处理后传输的场景。包含校验：配置目标子串，系统校验 token 中是否完整包含该子串（不限制位置）。适用于 token 中存在可标识有效性的关键片段的业务场景。长度校验：配置目标长度，系统校验提取的 token 长度是否满足某个长度要求。适用于仅需简单验证 token 有效性的业务场景。正则校验：配置符合 PCRE 规范的正则表达式，系统使用该表达式对 token 整体进行模式匹配验证。适用于 token 格式复杂且需自定义灵活验证规则的业务场景。

配置项	说明
重试次数	范围 1-100。重试验证的次数，达到重试次数上限仍未验证成功则直接拦截。
放行时长	范围 1-10080 分钟。单次验证成功后支持放行该 IP（不唤起验证页面），支持指定放行时长。
拦截时长	范围 1-10080 分钟。达到重试次数上限后直接拦截该 IP，支持指定拦截时长。
高级配置	支持自定义 Header，用于 CDN 开启强制缓存策略时，通过添加特征 Header（如 X-WAF-Challenge）让 CDN 识别并跳过验证码页面缓存。最多可添加 10 条。说明：云原生型实例接入的域名不支持自定义 Header 配置；保留 Header（如 Host、Content-Length 等）不可使用。

防护模块

本页目录：

功能介绍

前端对抗

功能介绍

配置说明

智能分析

威胁情报

AI 策略

智能统计

UA 策略

会话管理

会话标识配置

会话 ID 集合

合法爬虫

人机识别设置

BOT 白名单